Glossaire des arnaques et fraudes en ligne

Forme de vol d'identité où un fraudeur obtient un accès non autorisé à un compte en ligne d'une victime et modifie les identifiants pour exclure le propriétaire légitime. Principaux vecteurs : violations de données, hameçonnage, attaques par credential stuffing. Contre-mesure principale : l'authentification multi-facteurs (MFA).

Arnaque classique où la victime est invitée à payer des frais à l'avance en échange d'une récompense plus importante qui n'arrive jamais. Nommée d'après l'article 419 du Code pénal nigérian. Se présente sous diverses formes modernes : arnaques à la loterie, héritages fictifs, faux investissements.

Attaque d'ingénierie sociale consistant à laisser des supports infectés (clés USB, CD) dans des endroits publics, comptant sur la curiosité humaine pour les insérer dans un appareil, déclenchant ainsi un malware.

Arnaque ciblant les entreprises en usurpant ou compromettant des comptes e-mail de dirigeants pour demander des virements frauduleux ou des divulgations d'informations confidentielles. Coût : 2,9 milliards $ en 2023 selon le FBI IC3 (États-Unis).

Création d'une identité en ligne fictive pour tromper quelqu'un, souvent dans un contexte romantique. Utilisé dans les arnaques aux rencontres et le « pig butchering ».

Attaque où un e-mail légitime et précédemment livré est copié et modifié pour inclure des liens malveillants, puis renvoyé en prétendant être un suivi ou une correction de l'original.

Attaque automatisée utilisant des listes de noms d'utilisateur/mots de passe volés dans des violations de données pour tenter de se connecter à d'autres services, exploitant la réutilisation des mots de passe.

Escroqueries exploitant la cryptomonnaie : faux échanges, rug pulls, schémas Ponzi crypto, arnaques à l'extraction (mining), arnaques romantiques crypto. Aux États-Unis, la FTC a signalé 1+ milliard $ de pertes liées à la crypto en 2023.

Enregistrement de noms de domaine ressemblant à des marques existantes dans l'intention de les vendre à profit ou de diriger le trafic vers des sites frauduleux.

Technique de conception d'interface utilisateur qui manipule les utilisateurs pour qu'ils accomplissent des actions non souhaitées — souscriptions difficiles à annuler, frais cachés, cases pré-cochées. Réglementé dans l'UE par le RGPD et la Loi sur les marchés numériques.

Contenu vidéo ou audio généré par IA substituant de manière convaincante le visage ou la voix d'une personne par une autre. Utilisé dans des arnaques sophistiquées comme le vol de 25,6 M$ à Hong Kong en 2024.

Attaque de mot de passe utilisant une liste de mots courants, de phrases et de variantes connues. Plus ciblée que la force brute, mais moins que l'utilisation de mots de passe spécifiquement divulgués.

Création d'un domaine frauduleux ressemblant étroitement à un domaine légitime pour tromper les utilisateurs ou les filtres de sécurité.

Publication malveillante d'informations personnellement identifiables d'une personne sans son consentement, souvent dans le but de harceler, menacer ou extorquer la victime.

Contraindre quelqu'un à agir ou à payer via des menaces. Les formes en ligne incluent : sextorsion (menace de divulguer du contenu intime), ransomware (chiffrement de données contre rançon), et signalement de crime fictif (menace de dénoncer à la police).

Service fictif d'entiercement créé par des escrocs pour intercepter les paiements dans des transactions en ligne. L'acheteur envoie des fonds à ce faux service, qui disparaît avec l'argent.

Envoi de factures frauduleuses à des entreprises pour des services jamais rendus, comptant sur le volume de paiements et la négligence des services comptables.

Arnaque où les fraudeurs se font passer pour du support technique (Microsoft, Apple) via des appels non sollicités ou des pop-ups alarmants, demandant un accès à distance et un paiement pour des problèmes fictifs.

Arnaque téléphonique ciblant les personnes âgées : un escroc se fait passer pour un petit-enfant en difficulté nécessitant une aide financière urgente et secrète.

Offre attrayante (faux emploi, faux investissement) conçue pour attirer les victimes vers une arnaque. Dans la détection de la fraude, les honeypots légitimes sont aussi utilisés pour identifier et surveiller les attaquants.

Utilisation non autorisée des informations personnelles d'une personne à des fins lucratives : ouvrir des comptes de crédit, obtenir des prêts, déposer des déclarations de revenus frauduleuses, ou accéder à des comptes existants.

Fraude où l'escroc prétend être une entité de confiance — gouvernement, banque, entreprise technologique, ou proche — pour obtenir de l'argent ou des informations sensibles.

Fausses offres d'emploi utilisées pour voler des informations personnelles (numéro de sécurité sociale, coordonnées bancaires) ou soutirer des frais d'intégration fictifs.

Attaque utilisant des stations de recharge USB publiques compromises pour installer des malwares ou dérober des données sur les appareils des victimes.

Logiciel malveillant qui enregistre les frappes au clavier pour capturer les mots de passe, numéros de carte de crédit et autres informations sensibles à l'insu de la victime.

L'arnaque classique aux frais anticipés : la victime est informée qu'elle a gagné une loterie, mais doit payer des taxes, frais de traitement ou frais juridiques avant de recevoir ses faux gains.

Logiciel malveillant conçu pour nuire, exploiter ou accéder sans autorisation à des systèmes. Types : virus, vers, chevaux de Troie, ransomware, spyware, adware, rootkits.

Attaque où un tiers s'interpose secrètement entre deux parties communicantes pour intercepter, modifier ou injecter des données.

Personne — souvent recrutée via de fausses offres d'emploi — qui transfère des fonds volés entre comptes bancaires pour le compte de criminels, encaissant une commission. Constitue un crime même si réalisé à son insu.

Variante classique de l'arnaque aux frais anticipés (fraude 419) impliquant un prétendu noble ou responsable gouvernemental nigérian offrant une part d'une grande fortune en échange d'une aide pour transférer des fonds hors du pays.

L'escroc envoie un chèque ou un paiement excédentaire pour un achat ou un service, demande un remboursement de la différence — puis le paiement original est retourné (chèque sans provision, paiement frauduleux), laissant la victime avec une perte nette.

E-mails, SMS ou sites web frauduleux imitant des entités légitimes pour voler des identifiants, des informations financières ou installer des malwares. La forme la plus répandue de cybercriminalité : plus de 298 000 plaintes au FBI IC3 (États-Unis) en 2024.

Arnaque combinant romance et investissement : l'escroc construit d'abord une relation émotionnelle, puis convainc la victime d'investir dans une fausse plateforme crypto. Les « gains » initiaux sont fictifs ; la victime investit de plus en plus jusqu'à ce que l'escroc disparaisse.

Création d'un scénario fictif (prétext) pour inciter une victime à fournir des informations ou à prendre une action. Souvent la base d'arnaques BEC, d'arnaques aux grands-parents, et d'ingénierie sociale avancée.

La victime est informée qu'elle a gagné un prix mais doit payer des frais pour le recevoir. Variante de l'arnaque aux frais anticipés.

Manipulation d'actifs (souvent crypto ou penny stocks) : les promoteurs gonflent artificiellement le prix via un battage médiatique coordonné, puis vendent leurs avoirs au sommet, effondrant la valeur.

Utilisation de QR codes malveillants pour diriger les victimes vers des sites de hameçonnage. Contourne les filtres de sécurité qui analysent les URL textuelles. Croissance de 587 % entre 2023 et 2024.

Malware qui chiffre les fichiers de la victime ou verrouille l'accès au système jusqu'au paiement d'une rançon. Principales cibles : hôpitaux, gouvernements, entreprises. Coût mondial estimé : 20+ milliards $ en 2023.

Création d'une fausse relation amoureuse en ligne pour extraire de l'argent. Aux États-Unis, la FTC a signalé 1,3 milliard $ de pertes aux arnaques romantiques en 2023, avec une perte médiane de 10 000 $ par victime.

Escroquerie dans la finance décentralisée (DeFi) où les développeurs abandonnent brusquement un projet et fuient avec les fonds des investisseurs. Souvent accompagné d'un token avec un mécanisme de vente unidirectionnel (l'escroc peut vendre mais pas les investisseurs).

Logiciels ou messages frauduleux conçus pour effrayer les utilisateurs et les inciter à acheter de faux logiciels de sécurité ou à appeler de faux numéros de support.

Fraude où un criminel convainc un opérateur téléphonique de transférer le numéro de téléphone de la victime vers sa propre carte SIM, contournant ainsi l'authentification à deux facteurs par SMS.

Installation de dispositifs sur des terminaux de paiement ou des DAB pour capturer les données de cartes bancaires lors de transactions légitimes.

Hameçonnage par SMS : messages texte frauduleux imitant des banques, services de livraison ou agences gouvernementales pour inciter la victime à cliquer sur des liens malveillants.

Manipulation psychologique de personnes pour qu'elles effectuent des actions ou divulguent des informations confidentielles. Exploite des biais cognitifs humains : urgence, autorité, réciprocité, rareté.

Attaque de hameçonnage hautement personnalisée ciblant une personne ou organisation spécifique, utilisant des informations personnelles collectées pour rendre le message plus crédible.

Falsification de l'identifiant de l'appelant, de l'adresse e-mail, de l'adresse IP ou du site web pour tromper la victime en lui faisant croire qu'elle interagit avec une source légitime.

Logiciel espion installé secrètement sur l'appareil d'une victime pour surveiller ses activités, souvent utilisé dans des contextes de violence domestique ou de harcèlement.

Offre d'essai gratuit ou de produit à faible coût qui entraîne des frais récurrents non divulgués ou difficiles à annuler. Souvent facilité par des schémas obscurs.

Terme générique désignant le fait de tromper quelqu'un pour lui soutirer de l'argent ou des biens par la ruse et la tromperie.

Enregistrement de noms de domaine contenant des fautes de frappe courantes de sites populaires (ex. : « goggle.com » au lieu de « google.com ») pour capturer le trafic des utilisateurs qui font des erreurs de saisie.

Hameçonnage vocal (Voice Phishing) : appels téléphoniques frauduleux imitant des banques, agences gouvernementales ou support technique pour voler des informations sensibles ou de l'argent.

Compromission d'un site web fréquemment visité par la cible pour infecter les visiteurs avec des malwares, exploitant la confiance des utilisateurs dans ce site.

Hameçonnage ciblant spécifiquement des cadres supérieurs ou des personnalités de haut profil, utilisant des informations personnalisées pour rendre l'attaque plus convaincante.

Exploitation d'une vulnérabilité inconnue du fabricant, pour laquelle aucun correctif n'existe encore. Utilisé dans des chaînes d'attaques sophistiquées pour l'accès initial avant de pivoter vers la fraude et l'ingénierie sociale.